同IPアドレス内でのコンピュータの識別。

質問

最近、ポイントサイトというものを知り利用してみました。
色々な不正があるのか、さまざまなルールがありましたが
技術的にどうなのか疑問があったので質問させてください。

あるサイトでは同一IPアドレス内でも別のコンピュータから
なら複数のアカウントを取れる(コンピュータの台数だけ作れる。)という
規約でした。

そこで、疑問に思ったんですが一つのグローバルIPアドレス内でルーターを通して
複数のコンピュータがある場合、それぞれのPCがCookieを削除していたとしても
それらを特定し識別する事は可能なのですか？

今まで、Cookieを削除した状態でホームページを訪問したりするだけでは
IPアドレスとポート番号、ブラウザの種類とバージョン程度しか判らない
ものと思っていました。
しかし、これらはどのようにして判別しているのですか？
接続しているコンピュータ名やログインしているユーザー名を
表示できるのですか？
マイクロソフトなどの製品を購入している状態ならシリアル番号から識別できるとは
分かりますが、ログインもしていなくCookieも無い状態なのが不思議です。

今までそのような事ができるとは思っていませんでしたので、驚きと
奇妙さでいっぱいです。
よろしくお願いします。

回答No.3

Lchan0211b · ベストアンサー

No.2です。

> 識別子となりうるものにはcookie、ツールバーなどのアドオン、
> ActiveX、そして先程回答いただいたURL RewritingされたURLの
> 他に、何か自動で埋め込まれてしまうものはありますでしょうか？

cookieと、アドオンおよびActiveXは危険性が全く違いますので
分けて考えるべきものと思います。
cookieはサーバから送付された情報を保存するだけですが
アドオンおよびActiveXは、コンピュータ名やログインユーザ名を
取得して送付することも可能です。そのため、これらを利用する際は
OSやブラウザからユーザに確認メッセージが表示されますし、
ウィルス対策ソフトでも監視しています。

サーバから送付された識別子を保存して次回のリクエストに
埋め込む方法として、cookieやURL rewriting以外に
どんな方法があるか?という質問であれば、
前回紹介した参考ページにもあるhiddenタグを使う方法の他、
最近なら「JavaScript+Web Storage」でも可能だと思います。
(参考)
http://blog.livedoor.jp/faulist/archives/1522297.html
※HTML5(Web Storage)対応ブラウザが必要です。

ただ、ここで議論している識別子は、以前のアクセスの続きか否かを
判断する程度にしか使えず、個人情報の特定につながるものでは
ありません。ご認識の通り、ブラウザのキャッシュ情報を削除すれば
いつでもその識別子を削除して、新しいユーザとしてふるまえます。
フィッシングの可能性のある怪しいサイトにアクセスしない限り
さほど気にする必要はないのではないかと思います。

お礼

お礼が遅くなりましたが、ありがとうございました。
詳しく回答いただけたので疑問が解決しました。
ベストアンサーとさせていただきます。

回答No.2

Lchan0211b

cookieが使えない場合の代替手段として、
URL Rewritingという手法があります。
セッション識別情報をcookieに入れる
替わりにURLパラメータに埋め込みます。
(参考)
http://www.ne.jp/asahi/hishidama/home/tech/web/session.html#URLリライティング

ただ、URL Rewritingは、セッション乗っ取り攻撃の対象と
されやすいという問題があり、最近はあまり使われていない
ように思います。

いずれにしても、No.1さんが書かれている通り、
コンピュータ名やユーザ名を取得しているのではなく、
サーバが各端末に識別子を配布し、それぞれの端末が
その識別子付きでサーバにアクセスしてくることで
端末(セッション)を識別しているだけです。

なお、携帯電話のブラウザは、個体識別情報を
送信しますので、それで判断する場合もあります。

補足

参考URLとURL Rewritingという手法についてのご紹介
ありがとうございます。

質問文には条件を書いていませんでしたが、

例えばブラウザはIEを利用したとします。そして、
「終了時に閲覧の履歴を削除する」などにチェックをつけておき
インターネット一時ファイルとcookieなどを毎回削除しておけば
再度そのサービスにURL Rewritingなどで書き換えられていない
本来の固定されたURLからアクセスする場合は、
(もちろんIPアドレスは変更しています)
基本的に端末を識別できないという様に解釈したのですが
合っていますでしょうか？

この場合、
>サーバが各端末に識別子を配布し

とあります、「識別子」を全て保持していない事が要点のようですが
識別子となりうるものにはcookie、ツールバーなどのアドオン、
ActiveX、そして先程回答いただいたURL RewritingされたURLの
他に、何か自動で埋め込まれてしまうものはありますでしょうか？

以前からインターネットは自動で何でもしてくれて便利ですが
あまり自動で情報を外に通知するのが嫌で、少しずつではありますが
停止や削除してきました。
しかし、体系的に学んできたわけではないので手落ちの状態が続いており
この際、詳しい方の意見を聞かせていただこうと思い質問させていただきました。

回答No.1

don_chan_2000

cookieを削除しても、またホームページにアクセスした時点でcookieがまた埋め込まれます。

少々誤解されているようですが、そのサイトへのログイン履歴を含むcookieをもって１ユーザーと
みなしています。

コンピューター名やwindowsのユーザー名まで把握しているわけではありません。

ですので、理論的にはcookieを完全に（Active-Xなどもすべて含む）削除すれば１台のＰＣで複数ＩＤを使い分けることも出来るかもしれません。

しかしながらなにかしらの痕跡がＰＣに残りますし、非常に手間がかかりますので現実的ではありません。

補足

言葉足らずですみませんでした。
cookieを削除するというのは一度ではなく毎回という
意味でした。
また、Active-Xのインストールもしていなかった上
そのサービスではActive-X自体の提供が無かったので
不思議でした。
蛇足にはなりますが、Macアドレスなどは接続先に
通知されてしまうものなんですか？
通知されるとしてもモデムのMacアドレスになってしまうとは
思いますが・・・。